# HANDOFF — 2026-07-03 (fine sessione, pre-/compact)

Sessione lunghissima. Due filoni: **sicurezza JWT** (blindatura completa) e **e-commerce
checkout/pagamento** (fedele al vecchio). Tutto sul **NAS locale**; nulla su Aruba.
Repo Git privato creato: **https://github.com/paoloalby/benza-ecommerce** (branch `main`).

## ✅ FATTO e verificato oggi

### Sicurezza JWT (tutto verificato E2E con login reali)
- **Chiavi forti** (256-bit) **separate** utente/admin, **esternalizzate** in
  `api/config/secrets.php` (NON versionato) + `jwt_config.php` (durate). `core.php`,
  `funzioni_api.php`, `database.php`, `gestionale_helper.php`, `auth.php` leggono da lì.
- **Admin**: token **10gg sliding** (`api/admin/refresh.php`, chiamato da `auth.php` max 1/h),
  **secret UA verificato anche nelle API** (`auth_admin.php`), cookie `Secure`, payload senza email.
- **Utente unificato al modello admin**: cookie `bz_jwt_utente` **HttpOnly+Secure+SameSite=Lax**
  (settato server-side); `auth_utente.php` verifica secret UA; `includes/auth_utente_pub.php`
  (soft-auth inline + sliding); `header_pub.php` inietta `window.bzJwtUtente`; pagine protette
  con `$richiede_login=true`; `common.js` legge il token da window/sessionStorage.
- **No PII nel payload** (JWT è firmato ma leggibile): solo `id_utente` cifrato + tipo/ruolo/secret.
- **Fix XSS riflesso** `?pay` in `ordine_riepilogo.php` (allowlist + json_encode) — da security review.
- **Repo**: `.gitignore` esclude `secrets.php`, `mail_config.php`, asset pesanti (files/uploads/img/pdf).
  `.example` versionati. **Deploy Aruba: caricare secrets.php + mail_config.php via FTP a mano.**

### Checkout / ordini (fedele al vecchio)
- Provincia = Tom Select (regione/isola derivate), dati precompilati dal profilo, CSS allineato.
- **Bug creazione ordine risolto**: migration **`009_ordini_default_stati.sql`** (pagato/spedito
  DEFAULT 0, date NULL-abili) — ESEGUITA.
- Email conferma col **nome prodotto** (non "Art. #id").
- **Sync gestionale verificata E2E**: ordine sito #1593 → `or_ordini` cod 12300, cliente 9237.
- **Descrizione ordine gestionale = replica fedele del vecchio** (verificata su ordine storico
  #1569): documento (Benza + cliente + indirizzo spedizione) + articoli con **nome+dimensioni**
  + importo/spedizione/totale + **tempi di consegna** + **corriere**. ` ` prima di € (mai a capo).
- **Flusso pagamento come il vecchio** (verificato `ordine_anteprima.php`): checkout = dati
  spedizione + **scelta corriere GLS/BRT** + **documento Fattura/Scontrino** (default Fattura
  ≥2.900€) → crea ordine SENZA metodo → `ordine_riepilogo` = **scelta metodo pagamento**
  (nuovo `api/ordini/imposta_pagamento.php`) → area pagamento. Fix layout (tasti non più sotto
  il footer). Checkout redirige a `carrello` se vuoto. Carrello vuoto = blocco unico centrato.
- Area utente "I miei ordini": bottoni allineati + card su mobile.

## 🔜 DA FARE (prossimo)
1. **TEST DEI PAGAMENTI** (era il prossimo passo richiesto): PayPal (⚠️ NON configurato —
   credenziali placeholder in `api/config/paypal.php`), Nexi/carta, bonifico, contrassegno.
   Fare un ordine nuovo e percorrere: checkout (corriere+documento) → scelta metodo → paga.
2. Affinamenti minori: `api/utenti/ordini/read.php` NON restituisce `contrassegno` → la card
   Contrassegno appare anche sopra 1000€ non ammessi (bloccata comunque da imposta_pagamento);
   riga "Metodo" nel riepilogo mostra il valore DB prima dell'update (timing).
3. **Write-back gestionale→sito** (stati ordine pagato/spedito/annullato) — pezzo grosso rimasto.
4. Config PayPal/email reali, 4 endpoint admin mancanti, deploy Aruba.

## 📌 Note ambiente
- **Dati di test creati** (da eliminare, io faccio solo SELECT): `Benza_sito.ordini` 1593/1594,
  `Benza_sit_clienti` ordini 12300/12301. Utenti test 3107-3110.
- **Principio (importante)**: NON reinventare i flussi — studiare il vecchio in
  `/Users/paolo/Server/.../Benza/sito/` e riprodurlo fedele, proporre migliorie prima.
  Vedi memoria `feedback_no_reinventare_flussi`.
- Email **test_mode=true** → solo paoloalby. DB **solo SELECT** (ALTER via migration a mano).
  Browser: NON riusare i tabId di oggi. secrets.php/mail_config.php NON nel repo → FTP a mano.
- Login: utente e admin ora richiedono re-login se cambia lo User-Agent (secret UA).